Dass eine App die Einstellungen eines anderen Programms ohne Nachfrage ändert, ist ein Lieferketten-Problem, und genau das meldete ein Postman-Nutzer, als sich ein Desktop-Update unbemerkt in seine Coding-Agenten einklinkte. Beim Öffnen von Postman 12.33.4 auf einem Mac stellte der Nutzer fest, dass es Plugins sowohl in Claude Code als auch in Codex installiert hatte, die wir rezensieren, einen Start-Hook ergänzt hatte, der API-Arbeit zu Postman lenkte, und eine entfernte Verbindung zu Postmans eigenem Dienst eingerichtet hatte. Nichts davon war angefordert; der Auslöser war schlicht das Starten der App.
Das Detail, das es schlimmer macht, ist die Selbstfreigabe. Der Installer fügte Codex nicht nur einen Hook hinzu, er versuchte auch, diesen Hook im Namen des Agenten als vertrauenswürdig zu markieren. Laut dem Bericht berechnet der Installer-Code den Hash des Hooks und schreibt ihn in Codex' Vertrauensliste, mit einem Quellkommentar, der einräumt, dass er nach der Installation nur Postmans aktuellen Hook freigibt. Eine Vertrauensabfrage gibt es, damit ein Mensch entscheidet, ob Code ausgeführt wird, den ein Agent zu Beginn jeder Sitzung laufen lässt. Ein Werkzeug, das seinen eigenen Hook freigibt, hat diese Entscheidung still beseitigt, was den Sinn des Mechanismus zunichtemacht.
Die technische Spur ist konkret. Der am 25. Oktober 2026 eröffnete Bericht zeigt Codex' globale config.toml, die auf Postmans Plugin-Repository verweist, einen Session-Start-Hook, der Anweisungen ausgibt, die dem Agenten sagen, er solle breite API-Arbeit zu Postman leiten, sowie eine Verbindung zu einem entfernten MCP-Server unter Postmans Domain, die sich als wiederkehrende Authentifizierungswarnungen zeigte. Ein Claude-Code-Plugin und eine separat installierte Postman-CLI gehörten zum selben Paket. Das Issue sammelte 437 Zustimmungen, ein Maß dafür, wie viele Entwickler ebenso empfanden.
Postmans Antwort war, das Bündeln habe die Einrichtung erleichtern sollen und man nehme die Änderung zurück. Das ist das richtige Ergebnis, aber Absicht ist hier die schwache Verteidigung: Ein Installer, der die Konfiguration eines Agenten bearbeitet und dann seine eigenen Anweisungen freigibt, ist gefährlich, ob Schaden beabsichtigt war oder nicht, denn der nächste Anbieter, der das Muster kopiert, könnte es weniger gut meinen.
Die praktische Lehre gilt jedem, der einen Coding-Agenten neben anderen Entwickler-Apps betreibt. Es lohnt sich, die Konfigurationsdateien von Codex und Claude Code zu öffnen und auf Hooks, Plugins oder MCP-Server zu prüfen, die man nicht selbst hinzugefügt hat, da sich diese Art Änderung still installiert und erst später als seltsames Verhalten zeigt. Die weitere Lehre ist, dass die Vertrauensliste eines Agenten nur so stark ist wie die Regel, dass ein Mensch und nicht ein Programm entscheidet, was darauf kommt.